Документы для обезличивания персональных данных

Что требует приказ № 140

Приказ Роскомнадзора от 19.06.2025 № 140 — не только про методы. Его приложение № 1 обязывает оператора оформить деятельность по обезличиванию документами, и это отдельная работа, которую обычно недооценивают: методы выбрали, технически сделали, а подтвердить нечем.

Ниже — что именно требуется в документах. Состав взят из пункта 2 требований, дословно.

Четыре локальных акта

Пункт 2.1 требует локальных актов, определяющих:

1. порядок обработки персональных данных, подлежащих обезличиванию;
2. порядок осуществления деятельности по обезличиванию: кто, когда и чем обезличивает;
3. оценку достаточности применяемого метода или методов обезличивания для целей обработки;
4. порядок обработки данных, полученных в результате обезличивания.

Третья позиция — та, которую чаще всего переписывают из интернета. Оценка достаточности — это обоснование под ваши категории субъектов, категории данных и правовые основания: почему именно этого метода достаточно, чтобы по обезличенным данным нельзя было определить человека без дополнительной информации.

Три специальных акта — по выбранному методу

Если выбран метод изменения состава или семантики, перемешивания или декомпозиции, к базовым актам добавляется свой:

• правила удаления, искажения и изменения атрибутов — для метода изменения состава или семантики;
• правила перемешивания с алгоритмом перестановки: каждое значение или группа значений смещается на заданное оператором количество позиций;
• правила разбиения массива и определения места хранения каждой части — для декомпозиции.

Для метода введения идентификаторов отдельного акта приказ не требует — но требует ключ, хранящийся отдельно от массива и не передаваемый третьим лицам. Ключ и массив, лежащие в одной базе, — это не обезличивание, а переименование, и на проверке это видно сразу.

Если применяется дополнительный метод преобразования массива (агрегация), пункт 2.7 требует выделить субъектов, правила вычисления значений и способы группировки.

Журнал учёта

Пункт 1.7: оператор ведёт учёт действий по обезличиванию и операций с обезличенными данными — в форме, позволяющей подтвердить, что эти действия действительно совершены.

Практически это журнал: что обезличено, каким методом, когда, кем, и что дальше происходило с обезличенным массивом. Без него требование не выполнено, даже если технически всё работает.

Три ловушки, на которых спотыкаются

1. Акты лежат рядом с данными. Пункт 2.6 требует хранить акты, описывающие правила обезличивания, отдельно от обезличенных данных. Формально «в той же папке на том же сервере» — уже нарушение: документ с правилами рядом с результатом восстанавливает связь.
2. Доступ третьих лиц не закрыт. Пункт 2.2: исключить доступ третьих лиц к локальным актам и к информации об используемых методах, системах и процедуре. Это значит, что описание вашей схемы обезличивания не должно лежать в общем чате, в вики на всех и в переписке с подрядчиком.
3. Оценка достаточности без обоснования. Если в акте написано «метод надёжен», но не сказано, для каких целей и почему его достаточно, — требования не выполнены. Это первое, что смотрят, потому что проверить легко.

Порядок действий

1. Определить состав данных и круг субъектов до начала обезличивания (п. 1.2).
2. Сформулировать цели обработки обезличенных данных — из них выводится оценка достаточности (п. 1.3).
3. Выбрать метод из приложения № 2 и записать обоснование.
4. Принять базовые акты и специальные — по выбранному методу.
5. Развести хранение: акты отдельно, исходный и обезличенный массивы раздельно (п. 1.6).
6. Закрыть доступ третьих лиц к описанию схемы.
7. Завести журнал учёта.
8. Проверить, что инструмент получает настоящее значение, а модель — только подмену.

Если обезличивание делает контейнер, часть работы закрывается технически: раздельное хранение ключа и данных, запрет совместного хранения, журнал раскрытий. Но акты, оценка достаточности и цели обработки — ваши: продукт не знает ни ваших целей, ни ваших субъектов, и не может принять это решение за вас.

Первоисточники

• Приказ Роскомнадзора от 19.06.2025 № 140 целиком, с приложениями № 1 и № 2
• Тот же приказ в системе Гарант
• Разбор методов и требований приказа